INFOTEP Técnico en Ciberseguridad common mistakes
INFOTEP Técnico en Ciberseguridad · Understand the traps and how to avoid them.
Confundir la confidencialidad con la integridad al clasificar un incidente: etiquetar como 'fallo de integridad' una filtración de datos personales donde la información no fue alterada, o al revés, tratar una modificación no autorizada de registros como simple problema de privacidad.
La tríada CIA se memoriza como lista de tres palabras sin asociarla a escenarios concretos. En el examen los enunciados describen situaciones reales y el candidato responde por la palabra que le suena más cercana al contexto (por ejemplo, 'datos' le sugiere confidencialidad) en lugar de preguntarse qué propiedad se vio afectada: quién puede leer, si el dato cambió, o si el sistema estuvo disponible.
What to do instead
Antes de responder, aplicar tres preguntas en orden: ¿alguien no autorizado vio el dato? (confidencialidad); ¿el dato cambió sin autorización o perdió exactitud? (integridad); ¿el servicio dejó de estar accesible? (disponibilidad). Practicar con diez casos redactados por ti mismo donde una sola propiedad se vulnere y las otras dos no, y justificar por escrito cuál es cuál. Recordar que una filtración no altera el dato y que un cifrado ransomware afecta disponibilidad e integridad simultáneamente, pero no necesariamente confidencialidad.
Elegir el control 'más fuerte' (cifrado, MFA, firewall de nueva generación) cuando la pregunta pide el control adecuado según el principio de mínimo privilegio, defensa en profundidad o separación de funciones, sin justificar la capa o el objetivo del control.
El candidato asocia 'seguridad' con tecnología avanzada y descarta controles administrativos o físicos por parecer 'blandos'. Además no distingue entre tipo de control (preventivo, detectivo, correctivo) y categoría (técnico, administrativo, físico), que es lo que realmente evalúa el enunciado.
What to do instead
Clasificar cada opción en una matriz de dos ejes: categoría (técnico/administrativo/físico) y función (preventivo/detectivo/correctivo). Leer el enunciado buscando la palabra clave: 'evitar' apunta a preventivo, 'detectar' a detectivo, 'restablecer' a correctivo. Si dos opciones son técnicamente válidas, elegir la que respete mínimo privilegio o separación de funciones y explicar por qué la otra añade riesgo residual o complejidad innecesaria.
Responder sobre puertos y protocolos de memoria aproximada: confundir 443 con 8443, afirmar que SSH usa el puerto 23, o decir que TLS cifra la cabecera IP y el enrutamiento extremo a extremo.
Se estudian listas de puertos sin contexto de capa OSI ni del flujo de una conexión. Al no visualizar el handshake, el candidato mezcla el puerto de escucha con el puerto efímero de origen y atribuye a TLS propiedades que pertenecen a la capa de transporte o de red.
What to do instead
Reconstruir mentalmente una conexión completa: resolución DNS (53), establecimiento TCP (SYN/SYN-ACK/ACK con puerto efímero de origen), negociación TLS (certificado, claves de sesión) y petición HTTP. Dibujar el encapsulamiento y marcar qué capa cifra qué. Verificar cada puerto con la IANA o con la documentación del servicio antes de fijarlo en la memoria; en el examen, si un dato no se recuerda con certeza, razonar por la función del protocolo en lugar de adivinar el número.
Tratar el análisis de riesgos como una lista de amenazas sin calcular probabilidad por impacto, y confundir riesgo con vulnerabilidad, amenaza o impacto al elegir la respuesta correcta en un escenario cuantitativo.
Los términos se aprenden de forma yuxtapuesta y no relacional. El candidato lee 'existe una vulnerabilidad en el servidor' y responde 'riesgo', cuando la vulnerabilidad es una condición y el riesgo es la combinación de probabilidad e impacto sobre un activo. Tampoco practica el cálculo de riesgo residual tras aplicar un control.
What to do instead
Fijar las definiciones con una cadena causal: activo → amenaza que lo explota → vulnerabilidad que lo permite → riesgo (probabilidad × impacto) → control que reduce probabilidad o impacto → riesgo residual aceptado. Resolver al menos cinco ejercicios numéricos con valores anualizados (SLE = valor del activo × factor de exposición; ALE = SLE × frecuencia anual) y explicar en voz alta por qué el resultado cambia si se aplica un control. En preguntas conceptuales, descartar opciones que nombren una condición (vulnerabilidad) o un evento (amenaza) cuando se pregunta por riesgo.
Confundir autenticación con autorización y elegir 'autenticación multifactor' como solución a un problema de permisos excesivos, o proponer roles y ACL cuando el fallo real es que no se verifica la identidad del usuario.
Ambos conceptos aparecen juntos en los controles de acceso y el candidato los usa como sinónimos. En los enunciados, la palabra 'acceso' arrastra la respuesta hacia permisos aunque la descripción hable de suplantación de identidad o de sesión no verificada.
What to do instead
Separar las preguntas: ¿quién eres? (autenticación: contraseña, MFA, certificado) frente a ¿qué puedes hacer? (autorización: roles, ACL, mínimo privilegio) frente a ¿qué hiciste? (auditoría). Leer el enunciado y subrayar el verbo: 'suplantó', 'robó credenciales' o 'sesión secuestrada' apuntan a autenticación; 'accedió a datos de otro departamento' apunta a autorización. Comprobar que la opción elegida actúa sobre el eslabón correcto de la cadena identidad–permiso–registro.
Clasificar una inyección SQL como ataque de red o de fuerza bruta, y proponer como mitigación 'instalar un firewall perimetral' en lugar de consultas parametrizadas, validación de entrada y mínimo privilegio en la base de datos.
El candidato reconoce el nombre del ataque pero no el lugar donde ocurre (capa de aplicación, entrada no confiable) ni la causa raíz (concatenación de datos en la consulta). Al no ubicar el fallo, elige el control más visible en lugar del que elimina la causa.
What to do instead
Para cada vulnerabilidad de aplicación, ubicar la capa y la causa: inyección SQL → concatenación de entrada en la consulta → consultas parametrizadas y privilegios mínimos del usuario de BD; XSS → salida no codificada → codificación contextual y CSP; CSRF → petición sin token → tokens anti-CSRF y cookies SameSite. Practicar identificando la causa raíz antes de mirar las opciones y descartar cualquier control que solo reduzca exposición sin corregir el defecto.
Confundir hash, cifrado y firma digital: afirmar que un hash 'cifra' la contraseña y se puede descifrar, o que una firma digital cifra el mensaje para que nadie lo lea.
Las tres primitivas se estudian juntas y comparten notación matemática. El candidato no distingue la propiedad que aporta cada una (integridad, confidencialidad, autenticidad y no repudio) ni el uso de claves simétricas frente a asimétricas.
What to do instead
Memorizar una tabla de tres filas: hash → función unidireccional, sin clave, verifica integridad y almacena contraseñas con sal y algoritmo lento (bcrypt, Argon2); cifrado → reversible con clave, aporta confidencialidad; firma digital → hash cifrado con la clave privada del firmante, aporta autenticidad, integridad y no repudio. Comprobar en cada pregunta qué propiedad se pide y si la operación es reversible; si la respuesta implica 'descifrar un hash', es incorrecta.
Saltarse el orden de las fases de respuesta a incidentes: contener antes de identificar, o erradicar y restaurar sin preservar evidencia, y elegir 'apagar el servidor inmediatamente' como primera acción ante un compromiso.
La presión del escenario ('el ataque está en curso') empuja a elegir la acción más contundente. El candidato no ha interiorizado que apagar destruye memoria volátil y que la contención debe ser proporcional, además de que la fase de lecciones aprendidas no es opcional.
What to do instead
Fijar la secuencia preparación → identificación → contención → erradicación → recuperación → lecciones aprendidas y asociar a cada fase una acción típica y su evidencia. Ante un escenario, preguntar primero qué fase describe el enunciado y qué se necesita conservar. Recordar que la captura de memoria y logs precede al apagado, que la contención puede ser parcial (aislar el segmento, no el edificio) y que el informe posterior cierra el ciclo.
Responder sobre obligaciones legales y éticas con nociones genéricas ('hay que cumplir la ley', 'el consentimiento lo arregla todo') sin distinguir el rol del profesional, el alcance de la autorización escrita y la diferencia entre prueba de concepto autorizada y acceso no autorizado.
El marco legal se percibe como materia memorística y el candidato no lo conecta con decisiones técnicas. Tampoco diferencia entre el deber de notificar una brecha, el deber de confidencialidad y el alcance de un contrato de pruebas de penetración, por lo que elige la opción más intuitiva o la más permisiva.
What to do instead
Estudiar el marco aplicable con casos: qué exige una autorización escrita antes de una prueba (alcance, ventana temporal, sistemas excluidos, contacto de emergencia), qué hacer si durante la prueba se descubre un dato personal ajeno (no extraerlo, documentarlo y notificar), y cuándo procede notificar una brecha a la autoridad y a los afectados. Para cada escenario, identificar el rol (empleado, auditor externo, administrador) y la obligación que le aplica antes de mirar las opciones.